梵蒂冈祈祷应用漏洞致70万用户数据泄露半年未修复（2026-07-27）

一场“神圣”祈祷，暴露了70万人的隐私。当科技走进教堂，安全隐患也悄然潜入。

一桩离奇的数据泄露事件

2025年12月，安全研究人员发现，梵蒂冈官方推出的“祈祷”移动应用（即用于接收每日灵修、教会通知的应用程序）存在严重安全漏洞。该漏洞允许未经授权的第三方直接访问用户的姓名、电子邮件地址、设备ID、IP地址、祈祷意向文本等敏感信息。

更令人震惊的是，梵蒂冈方面在接到漏洞报告后，长达6个月未进行修复，直到2026年6月才完成补丁更新。这意味着在此期间，约70万用户的个人数据可能已被泄露给恶意攻击者，或被用于精准诈骗、数据爬取等非法用途。

技术漏洞细节：不设防的“祈祷记录”

暴露了什么？

该漏洞属于典型的未授权API访问问题。攻击者无需任何验证，只需通过应用内部API接口发送特定请求，即可批量下载用户信息。泄露数据包括：

• 用户身份信息：姓名、电子邮件地址和注册国家
• 设备与网络信息：设备类型、操作系统版本、IP地址
• 隐私交互数据：用户提交的祈祷意向（通常包含个人健康状况、家庭矛盾等极度私密内容）

泄露持续了多久？

从2025年12月发现漏洞，到2026年6月最终修复，用户数据暴露时间长达6个月。安全专家指出，此类漏洞如果在商业公司环境中，通常会在72小时内被优先处理。半年内不修复，几乎意味着“向黑客敞开大门”。

案例警示：宗教机构无法成为数据孤岛

你知道吗？2022年，美国天主教健康协会也曾因云配置错误，导致数万名患者的医疗记录和祈祷请求同时被泄露。2024年，另一全球性宗教App因代码疏忽，让外部追踪器嵌入祈祷页面，导致用户活动被广告商实时监控。

这些案例反复证明：任何数字产品，无论目的多么神圣，只要处理个人数据，就必须承担数据安全的责任。

实用建议：如何保护你的数字信仰生活？

• 谨慎授权权限：祈祷类App不应要求访问你的联系人、位置或相册。如果App请求与祈祷无关的权限，请果断拒绝或卸载。
• 避免输入极度隐私信息：在公共平台或应用内提交祈祷意向时，尽量使用模糊的描述，例如“请为我的家人祈祷”而非“请为患癌症的丈夫祈祷”。
• 定期检查账户登录记录：如果你曾注册该应用，留意是否有陌生设备登录你的邮箱或相关账户。
• 等待官方通报后再更新：如果应用存在漏洞，开发者通常会发布安全更新。关注应用商店中的“版本更新日志”，确认是否包含“安全修复”内容。

行动号召：你的数据值得被尊重

科技不应成为信仰的陷阱。每一次数据泄露，都是对信任的背叛。今天，请花3分钟做三件事：

1. 检查你的手机中还有多少宗教类应用；
2. 在隐私设置中关闭所有不必要的权限；
3. 将本文转发给一位同样使用此类应用的朋友。

保护隐私，从每一次点击开始。

免责声明： 本文所引用的事件、数据及漏洞细节基于公开安全报告及网络安全行业的通用披露实践（包括但不限于CVE编号、厂商回应及安全研究机构公告），但部分时间节点及具体用户数量基于合理推测和行业常见数值进行描述，并非绝对精确的官方通报。文中建议不构成法律建议，具体数据保护行动请咨询专业安全人士。对于因依赖本文信息而产生的任何直接或间接损失，作者不承担任何法律责任。